ntdll之api

雨点打透心脏的1/2处 2022-08-27 12:45 177阅读 0赞

ntdll.dll是Windows系统从ring3到ring0的入口。位于Kernel32.dll和user32.dll中的所有win32 API 最终都是调用ntdll.dll中的函数实现的。ntdll.dll中的函数使用SYSENTRY进入ring0，函数的实现实体在ring0中。

打开NTDLL.dll,惊奇的发现原来CRT的许多基本函数居然都是在这里实现的！甚至包括qsort,ceil这样的函数，还有臭名昭著的 strcpy堆的释放， [进程管理][Link 1]，似乎都是在这。于是，我决定，仔细察看一下它，这1410个函数是做什么的

用户模式的代码在调用系统 [内核][Link 2]函数的时候，首先把一个叫做system call number的数放在EAX中，把参数放在其它的寄存器中了。然后调用INT 2E中断。但是大部分 [应用程序][Link 3]并不需要直接这么做。通常都是在调用 [kernel32.dll][]等时由他们来调用INT 2E.

内核模式的代码，做法稍微有点不同。他们通常调用由NTOSKRNL.EXE导出的NTDLL.dll中Zw开头的那一系列函数，比如 ZwWaitForSingleObject，　反之，如果是用户级代码需要调用内核，就会利用INT 2E调用WaitForSingleObject.对于许多函数的批量调用，你会明显发现 Zw族要比Rtl族效率高很多。

ntdll.dll中的大部分函数都是undocumented

ntdll中的native api功能非常强大,然而微软却没有提供用户态调用native api的接口,而这些native api所需要的数据结构微软也基本没有公布,幸好有了一批牛人的贡献,给出了很多native api的定义,让我们的生活免去了许多痛苦,本文在介绍了最基本的native api的调用方式之外,还介绍了一种更加优美,移植性更强的调用方式

*调用方式一(一般方式):*

第一步:声明函数指针  
比如我们需要调用NtCreateFile函数,那么我们就需要根据NtCreateFile的定义来声明一个相同类型的函数指针(这样做会让编译器比较高兴)

![None.gif][] typedef NTSTATUS ( \*  MyNtCreateFile) (  
![None.gif][] OUT PHANDLE FileHandle,  
![None.gif][] IN ACCESS\_MASK DesiredAccess,  
![None.gif][] IN POBJECT\_ATTRIBUTES ObjectAttributes,  
![None.gif][] // OUT PIO\_STATUS\_BLOCK IoStatusBlock,   
![None.gif][]  OUT PVOID IoStatusBlock,  
![None.gif][] IN PLARGE\_INTEGER AllocationSize OPTIONAL,  
![None.gif][] IN ULONG FileAttributes,  
![None.gif][] IN ULONG ShareAccess,  
![None.gif][] IN ULONG CreateDisposition,  
![None.gif][] IN ULONG CreateOptions,  
![None.gif][] IN PVOID EaBuffer OPTIONAL,  
![None.gif][] IN ULONG EaLength  
![None.gif][] );  
![None.gif][] MyNtCreateFile MyNtCreateFileFun;

第二步: 获取native api在natdll中的地址

![None.gif][] MyNtCreateFileFun =  (MyNtCreateFile)GetProcAddress (GetModuleHandle( " ntdll.dll " ),  " NtCreateFile " );

第三步: 调用native api完成功能

其实这也不算复杂,然而每次在程序移植的时候让我非常的郁闷,每次都要去定义声明函数指针,每次都要在代码中出现获取指定native api地址的代码,又烦又乱,后来终于在<Undocumented Windows 2000 Secrets>中找到了一个更加有可移植性的方法

*调用方式二*(仍然以NtCreateFile来举例):

第一步:添加ntdll.lib到工程中,(在工程设置里面添加或者加上 \#pragma comment(lib,"ntdll.lib") ),ntdll.lib在安装了DDK之后就可以找到

第二步:声明指定native api  
我将native api的定义放在了统一的头文件中,以后可以不断的丰富该文件,将来工作量会不断的减小,在使用的时候将该头文件包含进来即可

![ExpandedBlockStart.gif][] /\*  
![InBlock.gif][] NativeApiDef.h  
![InBlock.gif][] define the Native Api  
![ExpandedBlockEnd.gif][]\*/   
![None.gif][]  
![None.gif][]\#ifndef GALIHOO\_NATIVE\_API\_DEF  
![None.gif][] \#define  GALIHOO\_NATIVE\_API\_DEF   
![None.gif][]  
![None.gif][]  
![None.gif][] \#pragma  once   
![None.gif][]  
![None.gif][]  
![None.gif][]\#ifdef \_\_cplusplus  
![ExpandedBlockStart.gif][] extern  " C "  \{  
![InBlock.gif][]\#endif  
![InBlock.gif][]  
![InBlock.gif][]  
![InBlock.gif][]typedef LONG NTSTATUS, \*PNTSTATUS, \*\*PPNTSTATUS;  
![InBlock.gif][]  
![InBlock.gif][]\#define STATUS\_SUCCESS ((NTSTATUS) 0x00000000)  
![InBlock.gif][]\#define STATUS\_INFO\_LENGTH\_MISMATCH ((NTSTATUS) 0xC0000004)  
![InBlock.gif][]\#define STATUS\_IO\_DEVICE\_ERROR ((NTSTATUS) 0xC0000185)  
![InBlock.gif][]  
![InBlock.gif][]  
![InBlock.gif][]typedef struct \_UNICODE\_STRING  
![ExpandedSubBlockStart.gif][]\{  
![ExpandedSubBlockStart.gif][]/\*000\*/ WORD Length;  
![ExpandedSubBlockStart.gif][]/\*002\*/ WORD MaximumLength;  
![ExpandedSubBlockStart.gif][]/\*004\*/ PWORD Buffer;  
![ExpandedSubBlockStart.gif][]/\*008\*/ \}  
![InBlock.gif][] UNICODE\_STRING,  
![InBlock.gif][]\* PUNICODE\_STRING,  
![InBlock.gif][]\*\*PPUNICODE\_STRING;  
![InBlock.gif][]  
![InBlock.gif][]\#define UNICODE\_STRING\_   
![InBlock.gif][]sizeof (UNICODE\_STRING)  
![InBlock.gif][]  
![InBlock.gif][]typedef struct \_OBJECT\_ATTRIBUTES  
![ExpandedSubBlockStart.gif][]\{  
![ExpandedSubBlockStart.gif][]/\*000\*/ DWORD Length; // 0x18  
![ExpandedSubBlockStart.gif][]/\*004\*/ HANDLE RootDirectory;  
![ExpandedSubBlockStart.gif][]/\*008\*/ PUNICODE\_STRING ObjectName;  
![ExpandedSubBlockStart.gif][]/\*00C\*/ DWORD Attributes;  
![ExpandedSubBlockStart.gif][]/\*010\*/ PSECURITY\_DESCRIPTOR SecurityDescriptor;  
![ExpandedSubBlockStart.gif][]/\*014\*/ PSECURITY\_QUALITY\_OF\_SERVICE SecurityQualityOfService;  
![ExpandedSubBlockStart.gif][]/\*018\*/ \}  
![InBlock.gif][] OBJECT\_ATTRIBUTES,  
![InBlock.gif][]\* POBJECT\_ATTRIBUTES,  
![InBlock.gif][]\*\*PPOBJECT\_ATTRIBUTES;  
![InBlock.gif][]  
![InBlock.gif][]\#define OBJECT\_ATTRIBUTES\_   
![InBlock.gif][]sizeof (OBJECT\_ATTRIBUTES)  
![InBlock.gif][]  
![InBlock.gif][]  
![InBlock.gif][]  
![InBlock.gif][]NTSYSAPI  
![InBlock.gif][]NTSTATUS  
![InBlock.gif][]NTAPI  
![InBlock.gif][]NtCreateFile(  
![InBlock.gif][] OUT PHANDLE FileHandle,  
![InBlock.gif][] IN ACCESS\_MASK DesiredAccess,  
![InBlock.gif][] IN POBJECT\_ATTRIBUTES ObjectAttributes,  
![InBlock.gif][]//OUT PIO\_STATUS\_BLOCK IoStatusBlock,  
![InBlock.gif][] OUT PVOID IoStatusBlock,  
![InBlock.gif][] IN PLARGE\_INTEGER AllocationSize OPTIONAL,  
![InBlock.gif][] IN ULONG FileAttributes,  
![InBlock.gif][] IN ULONG ShareAccess,  
![InBlock.gif][] IN ULONG CreateDisposition,  
![InBlock.gif][] IN ULONG CreateOptions,  
![InBlock.gif][] IN PVOID EaBuffer OPTIONAL,  
![InBlock.gif][] IN ULONG EaLength  
![InBlock.gif][] );  
![InBlock.gif][]  
![InBlock.gif][]\#ifdef \_\_cplusplus  
![ExpandedBlockEnd.gif][]\}   
![None.gif][] \#endif   
![None.gif][]  
![None.gif][] \#endif   
![None.gif][]  
![None.gif][]

这里只有NtCreateFile的定义,需要使用其他的函数的时候可以通过The Undocument Function -microsoft windows 2000 查找并添加进来

第三步: 像系统的api一样开始调用吧,

还是可以看出第二种方法的优越性吧,主程序没有出现额外的语句,将所有的函数定义放在了一个头文件中,方便了移植

[Link 1]: http://baike.baidu.com/view/364947.htm
[Link 2]: http://baike.baidu.com/view/1366.htm
[Link 3]: http://baike.baidu.com/view/330120.htm
[kernel32.dll]: http://baike.baidu.com/view/253048.htm
[None.gif]: /images/20220824/a0f46ef9db6b4930af9c9de12f81509a.png
[ExpandedBlockStart.gif]: /images/20220824/b885a561f4c4415192b9c18b1d04c93e.png
[InBlock.gif]: /images/20220824/2f3312b1282c430cb4cdd8af63aabe8f.png
[ExpandedBlockEnd.gif]: /images/20220824/510360419ccc4d2e8dd731ab615dc3a8.png
[ExpandedSubBlockStart.gif]: /images/20220824/c2622929edf340bea97fc4e36c6bb372.png